¿Pueden los otros programas en mi PC acceder a mi cuenta de Google a través de las cookies de los navegadores web?

12

Tengo curiosidad por saber si es posible que otros programas en mi Windows 7 accedan a mi Gmail, dado que ya he iniciado sesión en mi cuenta de Google en Chrome (estable).

Si no, ¿por qué y cómo se les impide acceder?

La recompensa es para todda.speot.is.

Si tienes alguna buena respuesta, haría +1 al menos. XD

windows-7 google-chrome cookies
fuente
Con respecto a la recompensa, ¿hay algo más que quieras que aclare en mi respuesta?
ta.speot.is
Intentaré actualizar cuando el tiempo lo permita.
ta.speot.is

Respuestas:

15

Presumiblemente sí. Si lee los comentarios aquí , implican que Chrome no cifra las cookies y simplemente puede copiar su perfil de usuario a otra PC y Chrome comenzará a usar esas cookies.

Sustituya "simplemente puede copiar su perfil de usuario a otra PC" con "un ataque puede copiar su perfil de usuario a su PC"

O, una aplicación local podría hacer una copia de la misma. Este hilo tiene un script Python para exportar sus cookies de Chrome.

Editar:

No puedo decir si surfasbestá trolling o simplemente no entiende cómo funciona HTTP. Las cookies sin cifrar son el vector de ataque que utiliza Firesheep . No importa si lo saca del cable o del disco. Una vez que tienes la cookie, estás dentro.

Aquí hay un pequeño ejemplo para "engañar" a Google para que piense que netcat es Chrome. Tenga en cuenta que a Google no le importa cuál es mi navegador, solo que tengo las cookies que Google me dio que me identifican a Google.

request_nocookie.txt:

GET http://www.google.com.au/ HTTP/1.1
Host: www.google.com.au
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/13.0.782.112 Safari/535.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-GB,en-US;q=0.8,en;q=0.6
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3

request_cookie.txtes el mismo que el anterior, pero con mi PREF, SID, HSISD, NIDgalletas para .google.com. No te los voy a mostrar, porque son míos :)

Estos dos comandos envían las solicitudes a Google y luego guardan la respuesta.

type request_nocookie.txt | nc www.google.com 80 > response_nocookie.txt
type request_cookie.txt | nc www.google.com 80 > response_cookie.txt

Ahora que tenemos las respuestas ...

find "Todd" < response_nocookie.txt > NUL
echo %ERRORLEVEL%
1

Un nivel de error distinto de cero es un fallo. Mi nombre no aparece en la respuesta, porque sin las cookies, Google no sabe de mí.

¿Qué pasa cuando tenemos la cookie?

find "Todd" < response_cookie.txt > NUL
echo %ERRORLEVEL%
0

Un nivel de error cero es un éxito: ¡hemos encontrado mi nombre en la respuesta! En realidad, está allí varias veces, porque la barra de herramientas en la parte superior tiene un montón de cosas relacionadas con mi cuenta de Google Plus.

Dejaré esto como un ejercicio para el lector: si realmente lo desea, puede ingresar a una cuenta de Google Plus con algunas herramientas ligeramente mejores. Google Plus requiere SSL (lo que no lo hace más seguro para un usuario que retira las cookies del disco, pero detiene a Firesheep).

ta.speot.is
fuente
Gracias. Además, ¿la mayoría de los antivirus me advertirán cuando otros programas lo estén haciendo?
Si bien eso exporta sus cookies, eso no lo lleva a las cuentas de Google. Siga adelante y tome el contenido de esa cookie y escriba una aplicación e intente acceder a la información de su cuenta. Hay más en esto que solo el lado del cliente. . .
surfasb
@Dante: es muy poco probable que un escáner AV le notifique si una aplicación estaba leyendo sus cookies de Chrome. Además, este tipo de comportamiento resolvería el problema en el nivel incorrecto (evitaría que el malware en su máquina lea sus cookies). En su lugar, debería resolverlo un nivel más arriba (¡detenga el malware en su máquina!)
ta.speot.is
Esta es una de las respuestas más completas en SuperUser. ¡Lo votaría dos veces si pudiera!
TFM
Gracias. (y no habría sido tan detallado si surfasb no hubiera estado tan equivocado. ¡Así que gracias surfasb, por no saber cómo funciona HTTP!)
ta.speot.is
-1

Cuando inició sesión en Gmail o en su cuenta de Google, la opción "recordar ser" probablemente estaba habilitada, esto le dijo a Google que no quería tener que escribir su contraseña cada vez, por lo que le dijeron a su navegador (Chrome) que recordara su Gmail / ID de sesión de la cuenta de Google que se guarda en lo que se llama una "cookie" que no caduca cuando sale de su navegador.

¿Es esto lo que querías saber?

Nexerus
fuente